PHP - CVE-2026-91765

Il s'agit d'une vulnérabilité dans l'extension SOAP de PHP.

PHP est un langage de script généraliste, exécuté côté serveur et largement utilisé pour le développement d'applications web. Son extension SOAP est un composant qui sert à créer des serveurs et des clients de services web SOAP.

La fonction cleanup_xml_node() du parseur XML SOAP parcourt le document de manière récursive, sans limite de profondeur. Cette fonction est appelée après l'analyse par libxml2, sur le chemin emprunté par SoapServer::handle() via php://input. Une récursion identique existe dans le décodeur de valeurs SOAP master_to_zval_int(), qui suit les références href et peut être orienté vers un cycle. Elle existe aussi dans la fonction de recherche de nœuds WSDL get_node_with_attribute_recursive_ex(). Une requête HTTP POST avec des dizaines de milliers d'éléments XML imbriqués suffit à épuiser la pile. Le processus plante alors avec un SIGSEGV. Aucune authentification ni configuration particulière n'est requise. Sous PHP-FPM, le worker qui traite la requête meurt. Un flux de requêtes épuise le pool de workers et met l'endpoint hors service. Le plantage ne donne pas le contrôle de l'exécution.

Elle permet à un attaquant non authentifié, à distance, de provoquer un déni de service sur tout endpoint SoapServer.